Windows 2008上域帐户的基本身份验证

Question

Windows 2003中从未遇到过一个非常奇怪的问题:当配置基本身份验证以限制对IIS7中特定目录的访问时，我做了以下工作：

1. 对IIS7中的特定目录启用基本身份验证和禁用匿名身份验证
2. 创建了三个Active Directory组: site.com人员、site.com成员、site.com Something。
3. 创建多个帐户并添加到适用的组中。
4. 授予特定域组/S对IIS7站点的三个区域的读取和执行NTFS权限

但是，这三个组中的任何一个域帐户一旦登录，都可以访问站点的其他三个区域中的任何一个。真正锁定目录的唯一方法不仅是向适用的组提供读取权限，而且还要拒绝对不应该具有访问权限的组的访问。当然，域用户组的一个成员是本地用户组的一部分，您不能拒绝对这两个目录的访问，这是没有意义的。

我错过了什么明显的事情？

更新:不好意思说这是一个非常明显的问题，与Win2003和Win2008无关。

对于所有适用的目录/文件：

1. 在IIS中启用基本身份验证，并删除匿名。
2. 删除继承权限(通过复制使事情变得简单)
3. 删除本地用户组访问
4. 授予适用的域组读访问权限
5. 添加网络服务读取访问(这是针对IIS7的，因为集成了管道)

如您所见，唯一的Win2003和Win2008问题是授予对所讨论的资源的网络服务访问权限。

Answer 1

对权限问题进行故障排除可能是一个挑战，但归根结底，我认为：

用户可以访问目录，而不考虑它们在您创建的组中的成员身份，因为用户是本地用户组的成员，后者可以访问目录。在大多数情况下，权限是累积的，限制最少的权限适用于显式定义的权限(允许或拒绝)。为了达到您想要的限制，您有两个选择：

1. 做您已经做过的事情，并在目录上定义一个明确的拒绝，拒绝您不想访问的组。
2. 从目录中删除权限继承，从目录的权限中删除本地用户组，并在目录上为您想要访问的组定义一个显式允许。